Capítulo 29 — Privacidade e proteção de dados: operações

Mapa da aula

Aula 29 publicada. Mapa, exemplo, EX085.

flowchart TD
  N0["29.1 Calendário de operações"]
  N1["29.2 Pedidos e incidentes"]
  N2["29.3 Métricas"]
  N3["29.4 Sustentação"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX085"]

Desenho lógico

flowchart LR
  N0["29.1 Calendário de operações"]
  N1["29.2 Pedidos e incidentes"]
  N2["29.3 Métricas"]
  N3["29.4 Sustentação"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX085"]

[29.1 Calendário de operações]
    |
    v
[29.2 Pedidos e incidentes]
    |
    v
[29.3 Métricas]
    |
    v
[29.4 Sustentação]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX085]

Objetivos de aprendizagem

Você vai (1) conduzir as operações de proteção de dados no dia a dia; (2) atender pedidos de direitos e incidentes; (3) prestar contas à direção.

29.1 Calendário de operações

Elena ajuda o responsável pela proteção de dados a criar um calendário de operações. Semanalmente: revisar a caixa de pedidos e o registro de incidentes. Mensalmente: relatar as métricas e revisar os novos aplicativos. A cada período letivo: revisões de acesso, conferência do treinamento e testes de restauração. Anualmente: atualizar o registro das atividades e a tabela de temporalidade. O calendário transforma muitas tarefas separadas em uma rotina previsível, o que importa nas escolas, onde o tempo da equipe é curto e as prioridades mudam depressa. Cada mês lista as tarefas e os responsáveis.

29.2 Pedidos e incidentes

Com a caixa central, os pedidos são registrados e atribuídos assim que chegam. Elena atende o pedido de um pai que quer todos os dados sobre o filho, incluindo os e-mails que mencionam a criança. Ela trabalha com o responsável pela proteção de dados para pesquisar os sistemas de e-mail e ocultar as informações sobre outros alunos. Aprende que os pedidos de acesso muitas vezes envolvem julgamento sobre informações de terceiros, e que as Diretrizes 01/2022 do EDPB discutem como equilibrar os direitos dos outros. Os dados de outros alunos são retirados antes de qualquer registro ser entregue.

29.3 Métricas

Elena relata métricas mensais à direção: pedidos recebidos e atendidos no prazo, incidentes e tempo até a comunicação, aplicativos avaliados e rejeitados, conclusão das revisões de acesso e participação no treinamento. Ela apresenta as tendências com explicações breves. A direção pede menos números e mais significado, então ela acrescenta um parágrafo curto sobre o que mudou e o que exige atenção. Aprende que as métricas só são úteis quando alguém age a partir delas. Sua página mensal mostra cinco números, cada um com um comentário, e cabe numa única folha.

29.4 Sustentação

Elena observa que as operações dependem do responsável pela proteção de dados, uma única pessoa. Se ele adoecer, as tarefas param. Ela recomenda um substituto e procedimentos documentados. Também recomenda que cada escola nomeie um ponto focal de privacidade, que responda às dúvidas locais e escale os problemas. O Dr. Asante observa que a resiliência vale para as pessoas tanto quanto para os sistemas, e que as organizações pequenas são especialmente vulneráveis à perda de pessoas-chave. Cada função agora tem um procedimento escrito e um substituto treinado, e a cobertura passa a ser planejada.

Exemplo resolvido

Elena cria um calendário de operações, atende um pedido de acesso que exige ocultar dados de outros alunos, relata métricas mensais com comentários e recomenda um substituto e pontos focais de privacidade nas escolas.

Caso sintético. As operações são sintéticas; as Diretrizes 01/2022 do EDPB são reais.

Erros e limites

Os pontos focais precisam de tempo e treinamento; nomeá-los não basta.

Exercícios

• EX085 — Finalidade do calendário. O que o calendário de operações proporciona?
  Mostrar critérios de avaliação

  Rubrica: 3 = transforma tarefas separadas em uma rotina previsível;; 2 = menciona rotina;; 1 = vago;; 0 = nenhuma.
• EX086 — Ocultação. Por que ocultar partes dos e-mails num pedido de acesso?
  Mostrar critérios de avaliação

  Rubrica: 3 = contêm informações sobre outros alunos;; 2 = menciona terceiros;; 1 = entregar tudo;; 0 = nenhuma.
• EX087 — Ponto único. Que ponto único de falha Elena identifica?
  Mostrar critérios de avaliação

  Rubrica: 3 = o responsável pela proteção de dados como única pessoa a conduzir as operações;; 2 = menciona o responsável;; 1 = vago;; 0 = nenhuma.

Síntese

O capítulo 29 conduz as operações. O capítulo 30 é o segundo laboratório.